Vulnerabilità dell'account google potrebbe aver rivelato il tuo numero di telefono

vulnerabilità critica nei Google account

Recentemente è stata scoperta una vulnerabilità significativa che potrebbe compromettere la sicurezza degli account Google. Questa falla consentiva di rivelare i numeri di telefono di recupero privati degli utenti, esponendoli a rischi come attacchi di SIM swap e furto d'identità.

meccanismo dell'attacco

L'exploit si basava su un complesso "attacco a catena" che sfruttava un modulo di recupero disabilitato per JavaScript, nomi pubblicamente disponibili tramite Looker Studio, e indizi sui numeri di telefono per ottenere i numeri completi in pochi minuti.

• Attacco a catena sofisticato
• Sfruttamento del modulo di recupero senza JavaScript
• Utilizzo dei nomi visualizzati su Looker Studio

tempi rapidi di brute-force

Il ricercatore ha dimostrato che non era necessario sfruttare una singola vulnerabilità per compiere l'attacco. L'approccio prevedeva l'uso di uno script automatizzato capace di eseguire circa 40.000 permutazioni al secondo, consentendo così il brute-forcing in tempi estremamente ridotti:

• Stati Uniti (+1): circa 20 minuti
• Regno Unito (+44): circa 4 minuti
• Paesi Bassi (+31): circa 15 secondi
• Singapore (+65): circa 5 secondi

risposta di Google alla vulnerabilità

Dopo la segnalazione da parte del ricercatore il 14 aprile, Google ha prontamente avviato le misure necessarie e ha confermato nel mese successivo che la vulnerabilità era stata risolta. Un portavoce dell'azienda ha dichiarato: "Questo problema è stato risolto. Abbiamo sempre sottolineato l'importanza della collaborazione con la comunità dei ricercatori sulla sicurezza."

sintesi finale sull'impatto della vulnerabilità

L'esistenza di questa vulnerabilità mette in evidenza quanto sia cruciale mantenere elevate misure di sicurezza negli account online. Le conseguenze potenziali includono furti d'identità e accesso non autorizzato agli account, rendendo fondamentale l'adozione delle migliori pratiche per proteggere le informazioni personali.

• SIM swap attacks
• Identity theft risks
• Email and phone number phishing attempts